Новые опасности онлайн-банкинга. Protect: защита платежных карт

С развитием инновационных технологий возможности всемирной сети становятся шире и сегодня затрагивают практически все сферы жизни человека. Так, в последнее время довольно активно многими используется интернет-банкинг, представляющий собой программу определенного банка, посредством которой пользователь может осуществлять финансовые операции с любого компьютера, подключенного к интернету. Однако такие услуги доступны только клиентам банков. Пользуясь подобными программами, многие обеспокоены , ведь встречаются ситуации, когда деньги пропадают с карты либо не поступают на нужный счет. Чтобы избежать действий мошенников и не бояться несанкционированного доступа к своим счетам, необходимо ознакомиться с основными правилами пользования интернет-банкингом.

Какие существуют средства защиты счетов от мошенников?

Главное правило безопасности интернет-банкинга предусматривает использование программ только известных и проверенных банков, которые постоянно совершенствуют средства защиты счетов своих клиентов. Сегодня практически каждый банк применяет SSL-шифрование информации, которой обменивается компьютер пользователя и банковская система. Этот современный метод позволяет избежать перехвата и изменения данных на пути от ПК клиента к банку. Однако следует помнить, что при совершении финансовых операций в онлайн-системе ни в коем случае нельзя реагировать на подозрительные сообщения, якобы пришедшие из банка, и переходить по незнакомым ссылкам на другие страницы.

С целью повышения уровня безопасности, клиентам предлагается получить одноразовые пароли, выдаваемые банкоматом.

В таком случае при входе в систему интернет-банкинга, помимо постоянных логина и пароля, понадобится ввести еще и одноразовый шифр, который подобрать злоумышленникам практически невозможно. Преимуществом такого варианта защиты является то, что получить чек с одноразовыми паролями может только человек, имеющий платежную карту и знающий пин-код. Пользуясь паролями чека для входа в систему, рекомендуется придерживаться следующих простых правил:

• Не выбрасывать список шифров и стараться не терять его;
• Не хранить чек вместе паролем и логином от учетной записи.

Еще одним распространенным методом для подтверждения личности при входе в онлайн-банк считается запрос одноразовых СМС-паролей. То есть при каждой операции, выполняемой пользователем, на его телефон приходит СМС-сообщение с кодом, который необходимо ввести. Известно, что обязательным условием подобных операций является привязка определенного номера телефона к банковскому счету. Среди достоинств такой системы безопасности можно выделить простоту процедуры и минимальное количество времени на осуществление операции. К тому же, даже если злоумышленник знает логин и пароль учетной записи, выяснить код ему не представляется возможным. Применяя одноразовые СМС-пароли, следует учитывать такие нюансы:

• Нельзя пользоваться интернет-банкингом с мобильных устройств;
• Не нужно сохранять пароль в браузере;
• При потере телефона следует незамедлительно обратиться в банк для блокировки учетной записи, чтобы ею никто не мог воспользоваться.

Что представляет собой электронная цифровая подпись?

Вышеперечисленные способы обеспечения защиты счетов пользователей являются самыми распространенными, однако существуют и другие методы идентификации клиентов. Особое внимание стоит обратить на электронную цифровую подпись, которая применяется чаще всего для компаний, но иногда предлагается и индивидуальным пользователям. ЭЦП предоставляет возможность однозначно идентифицировать личность, но не стоит исключать опасности завладения ключом от цифровой подписи мошенниками, которые могут заразить ПК вирусными файлами специального предназначения.

На видео – о безопасных платежах в интернете:

Известно, что существует целый ряд троянских программ, направленных на обнаружение индивидуальных паролей, ключей ЭЦП и других аутентификационных данных. Поэтому необходимо устанавливать антивирусные программы и регулярно проверять ПК на наличие вирусов. Также стоит выключать программу ЭЦП, если она не используется.

Дополнительные способы обеспечения безопасности пользования интернет-банкингом

Клиентам банка предлагается приобрести (купить или взять в аренду) генератор паролей для одноразового пользования. Прибор подсоединяется посредством USB-порта к компьютеру, и для него не нужно устанавливать специальное ПО. Также возможна вероятность использования электронного ключа, генерирующегося при первом подключении механизма. Среди дополнительных способов защиты электронных счетов следует выделить:

• Ограничение применения индивидуального сертификата, то есть воспользоваться электронным ключом для входа в учетную запись можно только с одного компьютера;
• Виртуальную клавиатуру. Она предназначена для защиты от вирусов, которые могут считывать информацию при наборе данных на обычной клавиатуре;
• Ограничение продолжительности сессии. Если пользователь в течение 10 – 15 минут не производит никаких операций, то система автоматически блокируется, и для входа в нее нужно заново ввести данные;
• Историю защиты. С помощью данной функции пользователь может проверить, подключался ли кто-нибудь к его учетной записи, а также проведение несанкционированных операций.

На видео – об электронных деньгах:

Что делать в случае взлома учетной записи интернет-банкинга?

Если все-таки мошенники смогли добраться до учетной записи онлайн-банкинга, то рекомендуется предпринять следующие меры:

• В первую очередь следует отключить ПК от интернета;
• Заблокировать личную учетную запись, обратившись в банк либо контактный центр;
• Сменить пароль и логин для входа в интернет-банкинг;
• Работу возобновлять следует, убедившись, что угроза устранена.

По мнению экспертов, жертвой мошенников становятся клиенты, не соблюдающие осторожность при пользовании интернет-банкингом. Клиентам банка рекомендуется с периодичностью раз в месяц менять постоянный пароль доступа в систему, а также не входить в онлайн-банкинг с чужих компьютеров, особенно из интернет-кафе. Известно, что мошенники могут воспользоваться доверчивостью пользователей и заразить вирусами компьютер посредством электронной почты и через различные социальные сети. В случае кражи денег со счета, нужно отправить заявку в банк и правоохранительные органы для разбирательства.

Например, за 2011 год 15% взрослого населения России совершили покупки онлайн, а во 2 квартале 2012 года 13% всех покупок в Москве совершалось через Интернет. Согласно данным исследования компании HarrisInteractive, проведенного для «Лаборатории Касперского», 47% пользователей в мире совершает покупки через Интернет и 44% работает с онлайн-банкингом. Это особенно видно в канун больших праздников, таких как 8 марта и новый год, когда количество онлайн-покупок резко возрастает. В результате для пользователей значимость защиты при совершении онлайн-покупок становится все выше.

Реагируя «на опережение», «Лаборатория Касперского» реализовала в новой версии Kaspersky Internet Security 2013 технологию «Безопасные платежи» (SafeMoney), которая обеспечивает защиту платежей через сеть Интернет. Данная технология пришла на смену двум технологиям из предыдущих версий Kaspersky Internet Security – «Безопасной среды» («Песочницы») и «Безопасного браузера». И, если раньше пользователям приходилось самостоятельно запускать работу браузера в безопасном режиме, то теперь Kaspersky Internet Security 2013 разгружает пользователя, делая это автоматически.

В данной статье мы рассмотрим реализацию технологии защиты онлайн-платежей Kaspersky Internet Security 2013 и приведем практический пример ее работы.

Технология защиты

Одной из главных целей злоумышленников является кража, перехват и модификация данных пользователей – логинов и паролей к платежным системам (PayPal, WebMoney, Яндекс.деньги и т.д.), сервисам интернет-банкингов, а также номеров кредитных карточек. Получение этих данных злоумышленниками автоматически означает и получение ими денег пользователей.

Существует несколько основных проблем в безопасности операционных систем и прикладных приложений, которые могут приводить к потере финансов пользователей (таблица 1).

Таблица 1. Проблемы в безопасности и методы кражи финансов пользователей

	Проблема в безопасности	Методы кражи
	Отсутствие защиты соединения между клиентом и онлайн-сервисом.	Атаки, направленные на перехват данных. Например, сниффинг , подмена DNS/Proxy-серверов , Man-in-the-Middle , подмена сертификатов и т.д.
	Отсутствие надежной идентификации оригинальных веб-сайтов (имитация настоящих сайтов).	Социальный инжиниринг, в частности фишинг . Пользователь перенаправляется на поддельный сайт и там его различными способами склоняют ввести свои учетные данные от оригинального сайта.
	Наличие уязвимостей в операционной системе и прикладных приложениях.	Сбор данных на компьютере пользователя при помощи регистрации нажатий клавиш, снятия снимков экрана, кражи данных при помощи троянов и т.д.
	Модификация данных, отправляемых в банк при помощи Man-in-the-browser	Подмена данных, передаваемых между браузером и веб-сервером. В этом случае пользователь может использовать различные средства защиты (токены, смарт-карты и т.д.) и хотя он видит в браузере правильные с его точки зрения данные, однако деньги перенаправляются не по его адресу, а по адресу указанному злоумышленниками

Многие антивирусы защищают пользователя только от части указанных проблем. Те же продукты, которые могут решать указанные проблемы по отдельности, не могут использовать их одновременно для решения проблем связанных с защитой онлайн-платежей.

Ставку именно на комплексное, многоуровневое решение сделала «Лаборатория Касперского» в своей новой технологии «Безопасные платежи». В работе данной технологии одновременно используются компоненты для поиска уязвимостей, проверки подлинности сайтов, блокировки подозрительных программных окон и защита вводимых с клавиатуры данных.

Решение о работе технологии «Безопасные платежи» вообще и при работе с конкретным сайтом в частности.

Включать ли работу технологии «Безопасные платежи» всегда или использовать ее только при работе с определенным сайтом – определяет сам пользователь. Если технология «Безопасные платежи» включена, то при доступе к платежным системам и интернет-банкингу веб-браузер запускается в безопасном режиме. В этом случае выполняется следующий набор действий:

1. При переходе на сайт его адрес проверяется по базам доверенных адресов платежных и банковских систем, созданном и обновляемом в «Лаборатории Касперского». В результате пользователь может быть уверен в том, что он находится именно на оригинальном сайте банка или платежной системы, а не клоном, созданном злоумышленниками. Это также позволяет исключить внедрение постороннего процесса, а также атак типа «Man-in-the-Middle» и «Man - in - the - browser » в процессе доступа к сайту.
2. Осуществляется проверка сертификатов подлинности сервера, что позволяет защитить пользователей от переходов на фальшивые сайты. Подтверждение сертификата является гарантией, что используемый онлайн-сервис проверен, владеющая им компания существует и осуществляется защищенное от перехвата данных соединение с сервером.
3. Проводится анализ уязвимостей в операционной системе, которые могут привести к краже финансов, и предлагается пользователю закрыть эти уязвимости в автоматическом режиме.

Технология «Безопасные платежи» может использоваться для любых сайтов, работающих с платежными системами через защищённый протокол HTTPS. Kaspersky Internet Security 2013 содержит автоматически пополняемую базу веб-адресов, которые должны защищаться. При этом, если нужный сайт отсутствует в базе, то пользователь может добавить его вручную.

Важно отметить, что в безопасном режиме браузера работает не только технология «Безопасные платежи», но и другие компоненты Kaspersky Internet Security 2013 - система контроля программ (HIPS), технология «Автоматическая защита от эксплойтов» (Automatic Exploit Prevention), модуль анти-фишинга, защита от перехвата данных с клавиатуры и т.д. В результате совместного использования различных компонентов для решения одной задачи пользователь получает не набор разных компонентов безопасности, а интегральный эффект, возникающий при их взаимодействии (рисунок 1).

Рисунок 1. Графическое представление логики совместной работы нескольких компонентов безопасности

Еще одним инструментом для защиты данным пользователей является виртуальная клавиатура, которая позволяет защититься от программ, осуществляющих регистрацию нажатий клавиш на клавиатуре (keylogger), и снятие снимков экрана (screenshot). В Kaspersky Internet Security 2013 на основе технологий, реализованных в виртуальной клавиатуре, был реализован специальный драйвер, который позволяет защищать данные от перехвата при использовании обычной аппаратной клавиатуры. То есть набор данных с клавиатуры теперь защищен так же, как и при использовании виртуальной клавиатуры.

Рисунок 2. Виртуальная клавиатура в Kaspersky Internet Security 2013

Настройка работы с технологией «Безопасные платежи»

В любой момент пользователь может провести настройку работы компонента «Безопасные платежи» – добавить или удалить адреса, по переходу на которые браузер будет работать в защищенном режиме. Делать это не обязательно, так как Kaspersky Internet Security 2013 содержит большую базу адресов веб-сайтов, при переходе на которые браузер автоматически будет запускаться в безопасном режиме. Однако, если нужно добавить сайт вручную или наоборот, удалить сайт из списка, то нужно воспользоваться указанными настройками.

Настройку работы технологии «Безопасные платежи» можно осуществить двумя способами. Во-первых, из главного окна.

Рисунок 3. Главное окно Kaspersky Internet Security 2013

Для этого в нем нужно нажать кнопку «Настройки». В открывшемся окне нужно выбрать закладку «Безопасные платежи».

Рисунок 4. Настройки технологии «Безопасные платежи»

В настройках мы можем включить работу рассматриваемой технологии, включить/отключить оповещение при нахождении уязвимостей в операционной системе и редактировать список сайтов и сервисов, при доступе к которым браузер должен переходить в безопасный режим. При работе со списком нужно указать, как должен вести себя браузер при посещении защищенных сайтов – автоматические переходить в защищённый режим, спрашивать об этом пользователя или не переходить в него вовсе. Например, если мы для сайта «https://money.yandex.ru » указали, чтобы он всегда открывался в защищенном режиме, то при первом его посещении вопрос о типе запуска нам задаваться не будет.

Рисунок 5. Редактирование списка сайтов, защищаемых технологий «Безопасные платежи»

После того, как список сайтов отредактирован, можно переходить к осуществлению онлайн-платежей.

Второй вариант редактирования списка защищаемых сайтов – перейти в окно «Безопасные платежи» из главного окна или по нажатию на ярлык в виде пластиковой карты на рабочем столе.

Рисунок 6. Работа со списком защищаемых сайтов

Пример проведения онлайн-платежа при работе технологии «Безопасные платежи»

Рассмотрим работу технологии «Безопасные платежи» на примере покупке товара в интернет-магазине Ozon.ru при помощи платежной системы «Яндекс.Деньги».

Вначале мы переходим на сайт интернет-магазина Ozon.ru. Так как изначально мы не настраивали способ работы браузера с этим сайтом, то нам будет предложено запустить браузер в безопасном режиме работы и сохранить результат нашего выбора. Соглашаемся с предложенным режимом и движемся дальше.

Рисунок 7. Предложение запустить браузер в защищённом режиме

Если в системе не были установлены критически важные обновления, то Kaspersky Internet Security 2013 предложит это исправить.

Рисунок 8. Обнаружения критической уязвимости

В случае, если мы попытались перейти на сайт с поддельным сертификатом, то Kaspersky Internet Security 2013 заблокирует его открытие и предупредит нас об опасности.

Рисунок 9. Обнаружен веб-сайт с поддельным сертификатом

После этого мы можем заняться онлайн-покупками, добавляя и удаляя товары из виртуальной «корзины». После того как все нужные нам вещи выбраны, мы можем перейти к процессу оформления покупки.

Рисунок 10. Выбор товара для покупки

Потом выбираем платежную систему, при помощи которой будем оплачивать покупку.

Рисунок 11. Выбор платежной системы

После этого мы переходим в наш интернет-кошелек. Браузер будет запущен в защищенном режиме, что можно понять по зеленым краям браузера.

Рисунок 12. Внешний вид браузера при работе в безопасном режиме

Следует отметить, что в течение работы безопасного режима ввод всех данных защищен от перехвата специальным драйвером для стандартной клавиатуры, что не позволит вредоносным программам перехватить вводимые пользователем данные.

Собственно большой набор используемых технологий и особенности их работы будут интересны только специалистам, а для пользователей весь процесс заключается в добавлении сайтов в список в окне «Безопасные платежи» и подтверждении запуска браузера в защищенном режиме при первой работе с сайтом.

По результатам тестирования систем защиты онлайн-платежей от внешних атак чешской лабораторией Matousec , технология «Безопасные платежи» смогла отразить все 15 используемых в тесте атак.

Выводы

В заключении следует отметить, что, исходя из рассмотренного практического примера, работа с технологией «Безопасные платежи» предельно проста и не должна вызвать у большинства пользователей каких-либо проблем. Также положительной оценки заслуживает подход, ориентированный на пользователя, а не на решения определенного класса технических задач («песочница», анти-фишинг и т.д.).

Программное окно для управления компонентом «Безопасные платежи» сделано таким образом, что половину его пространства занимает статическая картинка, не содержащая функционального наполнения. Автор статьи считает такое решение достаточно спорным, однако это относится к области дизайна, и оценивается каждым пользователем индивидуально.

Неверный клик - и денег нет. Мы расскажем о частых ошибках и о том, как пользоваться безопасным браузером от CHIP, предназначенным специально для интернет-банкинга.

Интернет-кошельки Webmoney и «Яндекс.Деньги» также подвергаются фишинг-атакам Радость от покупки нового ПК была велика.

Сервис-специалист только что подключил его к Сети, и наша читательница решила незамедлительно расплатиться за установку по системе интернет-банкинга.

После ввода пароля появилось сообщение об ошибке, и интернет-страница банка оказалась в оффлайне. Следующий вход в систему повергает нашу читательницу в шок: мошенники полностью обчистили ее счет. Эта женщина стала жертвой фарминг-атаки.

Все дело в том, что хакеры на несколько минут подменили портал банка на поддельную страницу.

Чтобы обезопасить вас от подобных проблем и помочь переводить деньги только нужному получателю, мы собрали и описали десять наиболее частых опасностей, возникающих во время использования систем интернет-банкинга. Кроме того, мы расскажем, как защитить себя от них, и одновременно снабдим вас отличным средством защиты - безопасным браузером от CHIP, который вы найдете на сайте http://download.chip.eu/ru.

Фарминг: новая форма фишинга

На приемы фишинга уже практически никто не попадается.

Во всяком случае так можно предполагать, поскольку большинство пользователей систем интернет-банкинга уже достаточно просвещены и более не кликают по ссылкам на банковские страницы в полученных электронных письмах.

Несмотря на это, старый знакомый фишинг эволюционирует и продолжает причинять наибольший вред при онлайн-банкинге.

Интернет-мафия не спит, мошенники разработали новую форму обмана - фарминг. По известному принципу пользователь попадает на фишинг-страницу, которая кажется схожей с оригиналом. Но ловушка работает иначе: вредоносная программа так перепрограммирует браузер на вашем компьютере, что даже при вводе правильного адреса банка браузер отсылает на поддельную страницу.

Решение. Лучшая защита - это обновленная версия антивирусной базы. Ведь такие атаки исходят главным образом от вредоносных программ. Кроме того, всегда следует проверять, начинается ли URL банка с комбинации https. Помимо этого в современных версиях браузеров адресная строка должна окраситься в зеленый или желтый цвет, а также появляется значок замка, информирующий о шифровании страницы. у многих имитирующих порталов эти признаки отсутствуют.

Но будьте внимательны: даже если страница обладает всеми перечисленными признаками, она, тем не менее, может быть фальшивой. Это значит, что если в портале банка обнаружится брешь в защите и хакер воспользуется ею для наложения фишинг-страницы, то браузер отобразит все необходимые защитные признаки. В этом случае при вводе данных доступа деньги будут потеряны.

Лучше наберите в браузере URL банка вручную и сохраните его в виде закладки - только при наборе веб-адреса вы окажетесь неуязвимы для фишинг-атаки.

Совет. Есть простая возможность разоблачить поддельную страницу: введите верный номер счета, но неверный PIN. Если страница принадлежит действительно вашему банку, то на экране появится сообщение об ошибке, поскольку данные доступа введены неправильно. Фальшивая страница, напротив, поблагодарит за ввод данных и отправит их хакеру, который будет долго ругаться.

Windows: защита не гарантирована

Серверы банков в большинстве своем неплохо защищены, в отличие от вашего компьютера - особенно если на нем установлена Windows.

Вместо того чтобы атаковать денежные подвалы банков, хакеры выбирают самое слабое звено цепи - пользователя операционной системы от Microsoft. Для того чтобы обезопасить себя от мошенников, пользователям ХР и Vista потребуются специальные защитные инструменты. Правда, они тормозят работу системы и требуют постоянной заботы. Это значит, что следует ежедневно обновлять антивирусные базы.

Решение. Даже не думайте выходить в Сеть под Windows без обновленной антивирусной базы! Кстати, самый высокий уровень защиты обеспечивает Linux. Благодаря решениям этой ОС вы забудете о медленных сканирующих программах, но взамен придется осваивать новый интерфейс.

Если вы параллельно пользуетесь обеими системами, то выполняйте финансовые операции под Linux, а письма и картинки обрабатывайте в Windows. Либо пользуйтесь LiveCD - например, Knoppix с ресурса www.knoppix.org. Но при переходе с Windows на Linux придется каждый раз перезагружать компьютер. Либо воспользуйтесь MokaFive Player (www.mokafive.com) - виртуализатором, базирующимся на VMware. Преимущество: можно без проблем запустить на виртуальной машине Damn Small Linux. Он небольшой, гибкий, в комплекте с ним поставляется Firefox, обеспечивающий более безопасный онлайн-банкинг.

Internet Explorer: множество «дыр» в защите

Браузер Internet Explorer небезопасен. Сделав в Firefox верные настройки и поставив нужные дополнения, вы имеете гораздо больше шансов отразить хакерскую атаку. Напротив, благодаря множеству брешей и наличию компонентов ActiveX Explorer дает широкое поле для действий хакеров. Компания по защите информации Secunia в августе этого года обнаружила 29 слабых мест в защите Internet Explorer 7, десять из которых представляют серьезную опасность. Если, несмотря ни на что, вы хотите и далее пользоваться программой, необходимо постоянно устанавливать свежие обновления.

Решение. Гораздо надежнее работать с Firefox, который, тем не менее, тоже требуется своевременно обновлять. Надежное решение - воспользоваться безопасным браузером от CHIP, который можно скачать на сайте http://download.chip.eu/ru. Мы дополнили портативную версию Firefox самыми важными плагинами безопасности, сделав ее прочнее и надежнее. Встроенный PhishLank SiteChecker защитит от поддельных банковских сайтов и предупредит, если вы уже находитесь на странице мошенников. Плагин имеет доступ к базе данных, в которую сообществом вносятся все известные фишинг-сайты.

Плагин No Script деактивирует, к примеру, JavaScript, представляющей при использовании интернет-банкинга серьезный риск. Большинство банковских порталов работает и без него.

Проблема, возникающая после деактивации JavaScript, заключается в том, что многие сайты с поддержкой Web 2.0 просто не будут корректно работать. Но если пользоваться безопасным портативным браузером и параллельно обычной версией Firefox, указанная проблема отпадает - и ваши финансовые операции оказываются под надежной защитой. Следующее преимущество: браузер запускается прямо с портативных носителей информации, таких как USB-накопители и CD. Пользуйтесь нашим Firefox только для осуществления денежных операций в Интернете. Сохраните на USB-накопителе ярлык к сайту банка и запускайте браузер только через него. Для этого откройте сайт банка, кликните по маленькому символу слева от URL в строке ввода браузера и, удерживая кнопку мыши нажатой, перетащите его на USB-накопитель.

С сожалением приходится признать, что можно столкнуться с банками, допускающими к работе со своими онлайн-системами только Internet Explorer, что не только не позволяет использовать Firefox и другие браузеры, но и лишает возможности осуществлять онлайн-банкинг под Linux. Тогда стоит подумать о замене банка на такой, который подходит более профессионально к обслуживанию клиентов во всех областях.

Открытая LAN: приглашение для хакеров

Незащищенная сеть опасна и привлекает внимание мошенников - при этом неважно, в проводной или беспроводной сети вы работаете.

Проникновение в последнюю, правда, удается хакерам намного проще.

Достаточно всего лишь ноутбука - и вор контролирует весь обмен данными, в том числе пароли PIN и коды TAN системы онлайн-банкинга. Шифрование WPA обязательно для беспроводных сетей. МАС-фильтр, разрешающий доступ к сети только определенным устройствам, дополнительно повысит защиту.

Но даже если вы не пользуетесь WLAN, а подключены напрямую через роутер, оборудование имеет слабое звено - пароль по умолчанию. Измените его, чтобы взломщики не проникли в вашу сеть через Интернет. Модель роутера можно идентифицировать «снаружи» посредством апплета Java и JavaScript. Мошенник может проникнуть на чужой роутер самыми обычными средствами и со стандартным паролем даже с противоположной стороны глобуса.

Имея доступ к оборудованию, он может запустить атаку Drive-byPharming. Это приводит к тому, что пользователь, как и в случае обычного фарминга, попадает на поддельную страницу банка. Антивирусная программа в этой ситуации не поможет, поскольку взлом осуществляется без установки вредоносного ПО на компьютере жертвы.

Запомнить имя и пароль: высокий риск

Даже в самом безопасном браузере может обнаружиться брешь. В Firefox версии 2.0.0.5 уязвимым был менеджер паролей. Если в браузере был активирован JavaScript и пользователь сохранял на рабочем месте личные данные доступа (имя пользователя и пароль), хакеры могли считать эти данные на специально созданных страницах и направить их дальше по цепочке.

Решение. Постоянно обновляйте версию браузера. Слабое место было быстро устранено, и Firefox снова уверенно держится на плаву, тем не менее, никогда не сохраняйте данные доступа в браузере: имя пользователя и пароль доступа к онлайн-банкингу должны вводиться вручную.

Хранение паролей TAN на ПК: нет гарантии безопасности

То же, что сказано про сохранение данных доступа, действует и в отношении паролей TAN (Transaction Authorisation Number - номера авторизации транзакций). Даже программные системы хранения и шифровки данных не гарантируют полной защиты от хакеров. В результате теста на безопасность хранения паролей мы обнаружили в некоторых программах слабые места и смогли обнаружить пароли. Еще одна опасность, которая остается всегда: как только пользователь открывает шифровальную программу, чтобы получить нужные пароли, - защита пробита. Мошенники могут считать информацию прямо с чужого монитора и получить доступ сразу ко всем паролям TAN.

Решение. Пароли TAN доставать лучше из ящика стола. В противном случае поинтересуйтесь у банка, предоставляют ли они услугу безопасного получения номера по SMS - mTAN. Процедура mTAN завязана у большинства банков на реквизитах получателя при переводах.

Если хакер перенаправляет денежный поток, TAN становится непригодным. Некоторые банки предоставляют эти услуги бесплатно, другие просят за отправку SMS небольшую сумму.

Ошибка ввода: деньги потеряны навсегда?

Маленькая ошибка с фатальным концом: если выполнять перевод в спешке, можно допустить ошибку при вводе номера счета получателя.

Банк выполняет ваше поручение как положено, только вот деньги попадают не туда, куда надо, и нужный адресат остается с носом. Что необходимо знать: банк не может вернуть ваши деньги, если проводка уже завершена, а это происходит довольно быстро. Разумеется, будет вдвойне обидно, если неверно введенный номер счета в действительности существует. Если именно так и произошло, то, несмотря на правовую обязанность получателя вернуть ваши деньги, этого может не произойти. В случае если адресат оказывается человеком финансово несостоятельным, деньги можно считать потерянными.

Решение. Лишний раз проверьте данные сразу после ввода, а затем еще раз, когда страница попросит подтверждения. Если появляется ошибка, то сразу же проинформируйте о случившемся банк. Хорошая защита от опечаток: приложите ваши документы о переводе средств - многие порталы позволяют сделать это.

Банкинг в дороге: зона опасности

Советуем соблюдать осторожность при использовании онлайн-банкинга в общественных местах, таких, например, как интернет-кафе. Есть вероятность перевести деньги хакерам, ибо неизвестно, насколько хороша антивирусная защита этого ПК. Кроме того, в рамках одной сети очень просто отслеживать весь обмен данными.

Выполняя финансовые операции, пользователь может и не обратить внимания, что за соседним столом сидит хакер и все протоколирует.

Решение. Избегайте денежных операций на чужих рабочих местах. Лучший вариант - мобильный банкинг.

Некоторые банки уже позволяют выполнять некоторые операции по мобильному телефону, к тому же бесплатно. В зависимости от провайдера могут возникнуть расходы на доступ к сети, которые окажутся довольно высокими при работе из-за рубежа. Но такие расходы все же несравнимо ниже убытков, которые способен причинить хакер. Согласно мировой статистике, в 2007 году средний убыток за одну хакерскую атаку составил около $6000.

Посредники в игре: суровое наказание

В нашем примере в начале статьи хакера разыскать не удалось, поскольку в игре оказался посредник, который перевел ему деньги по системе Western Union.

Получить перечисленные деньги мошенник может в любой точке мира спустя уже несколько минут. Для этого от него потребуется только удостоверение личности, которое в большинстве случаев является подделкой. Деньги пропали, а единственный, на ком можно сорвать злость, - посредник. Обычно им является во всех отношениях порядочный гражданин, обнаруживший у себя электронное письмо с предложением высокого вознаграждения только лишь за предоставление данных своего счета для перевода денег.

Решение. Не реагируйте на электронные письма с неправдоподобными обещаниями! За ними обычно всегда скрывается мошенничество. Используйте экспресс-службы для денежных переводов только в отношении действительно близких вам людей.

Некорректный выход из системы: роковые последствия

Состояние счета проверено, перевод денег выполнен, и вместо того чтобы затем выйти из системы надлежащим образом, вы просто закрываете окно браузера. Последствия могут быть фатальными, особенно в ситуациях, когда компьютером пользуетесь не вы один. Все потому, что на некоторых порталах можно войти в систему, просто нажав в истории браузера на нужный адрес, и для получения доступа к финансам даже не потребуют ввод PIN.

Решение. Правильно покидайте систему! Для дополнительной безопасности после сеанса банкинга можно удалить все следы, оставленные в браузере: историю, кеш и cookies.

Скорая помощь: как реагировать

Если худший сценарий все-таки реализован и вы стали жертвой мошенничества, воспользуйтесь следующими советами.

Заблокировать доступ.

Сохраняйте спокойствие и заблокируйте доступ к счету. Ежедневно проверяйте состояние счета. Так вы сразу сможете заметить наличие нежелательных транзакций, а банк, вероятно, успеет избавить вас от убытков.

Связаться с банком. Если вы уверены, что транзакция прошла успешно, но страница все равно выдает необъяснимую ошибку, сразу же проинформируйте об этом банк. Потому что как раз в этот момент хакер, очевидно, делает свое грязное дело. Несмотря на волнение, оставайтесь все же объективны, вежливы и точно опишите происшедшее.

Не производить на ПК никаких изменений. Больше не прикасайтесь к компьютеру, оставьте все как есть. Даже если вы заметили трояна, не закрывайте вредоносную программу.

Потому что только в этом случае можно проследить ход событий и установить, что в причинении убытков виноват мошенник.

Инструменты безопасного онлайн-банкинга F-Secure Internet Security 2008 - антивирусная программа Avira AntiRootkit Tool - защита от вредоносных программ Comodo Firewall Pro - защита Windows от троянов и хакерских атак NoScrlpt - больше безопасности во время интернет-серфинга PhishTank SiteChecker - защита от фишинг-атак SpyBot — Search & Destroy - предохраняет от программ-шпионов

Злоумышленники могут попытаться получить ваши платежные данные (номер карты, имя владельца, срок действия и CVV2), чтобы затем использовать их для кражи денег с вашего счета. Платежные данные могут подвергнуться опасности в следующих случаях:

• форма онлайн-платежа была размещена на сайте злоумышленниками;
• сайт, принимающий оплату с платежных карт, не использует защищенное соединение HTTPS ;
• сайт использует неизвестный Яндексу сертификат ;
• форма платежа находится на другом домене, нежели основной сайт.

При вводе номера платежной карты Яндекс.Браузер может вывести на экран два вида предупреждений:

• Угроза кражи данных
• Потенциальная проблема безопасности

Чтобы получить дополнительную информацию о проблеме, нажмите на значок карточки в Умной строке. Вы увидите одно из следующих сообщений:

Сообщение	Описание
example.com
«Имя сертификата»	Сертификат сайта
	фишинговую страницу.
example.com .

Сообщение	Описание
Вы вводите номер карты **** на сайте example.com , не использующем надежное шифрование. Ваши платёжные данные могут перехватить злоумышленники.	Яндекс считает сайт подозрительным или во время платежа сайт использует незащищенное HTTP-соединение. Прервите платеж, иначе ваши платежные данные могут стать добычей мошенников.
«Имя сертификата» может увидеть данные вашей банковской карты.	Сертификат сайта неизвестен Яндексу (сертификат подтверждает подлинность сайта и участвует в шифровании данных при HTTPS). Проверьте происхождение сертификата и решите, доверяете ли вы ему.
Соединение с этим сайтом не шифруется, но данные вашей карты будут отправлены на защищённый example.com .	Форма для ввода платежных данных находится не на том сайте, на котором вы совершаете платеж. Есть вероятность, что вы попали на фишинговую страницу. Убедитесь, что вы доверяете сайту, на котором расположена форма ввода платежных данных.
Данные вашей банковской карты будут направлены на другой защищённый сайт - example.com .

Короткий ответ : следовать простым, но не совсем обычным рекомендациям.

Длинный ответ .

Единственный способ на 100% обезопасить платежи банковской картой через интернет - не платить банковской картой через интернет. Но в современном мире это условие слишком сильно ограничивает свободу активного человека. Поэтому на самом деле задача владельца карты - не исключить возможность потери денег, а минимизировать её последствия, сделать их несущественными по сравнению с преимуществами, которые дают онлайн-платежи картой. Соответственно, действия пользователя должны преследовать именно эту цель и быть достаточными, но не слишком сложными для реальной жизни. При этом понятие «допустимых потерь» у каждого своё: для кого-то и 10 тыс. рублей - несущественная мелочь, а кто-то будет переживать и из-за 300 рублей, доставшихся мошенникам. Поэтому когда я буду ниже говорить о «небольших» или наоборот «существенных» суммах, подставляйте вместо этих общих слов конкретные устраивающие вас числа.

1. Никогда не используйте для интернет-платежей кредитные карты или карты с существенным для вас овердрафтом. Причина понятна: если уровень потерь по дебетовой карте с нулевым овердрафтом почти всегда известен заранее (за исключением случаев оплаты в валюте, отличной от валюты счёта), то размер кредита, предоставленного банком возможному мошеннику, укравшему данные вашей карты, может вас неприятно удивить. Не говоря уже о штрафах и процентах. Это должно стать для вас железным, абсолютно жёстким правилом: никогда не платить в интернете кредиткой. А у дебетовой карты регулярно проверять размер допустимого овердрафта и быть уверенным, что он равен нулю.

2. Для интернет-платежей лучше всего использовать отдельную дебетовую карту , привязанную к отдельному счёту. А основную карту, которой вы расплачиваетесь в магазинах и банкоматах, никогда не «светить» в интернете. Обратите внимание на слова «привязанную к отдельному счёту»: разного рода «дополнительные», «семейные» и прочие подобные карты, привязанные к тому же счёту, что и основная, в общем случае не дадут никакой реальной защиты. Как вариант, можно установить на отдельную интернет-карту очень низкий лимит платежей и при необходимости увеличивать его только на момент совершения оплаты. Но лучше иметь отдельный счёт.

На интернет-карте не стоит хранить какие-либо деньги : непосредственно перед её использованием вы можете перевести на неё средства с основного счёта - ровно столько, сколько потребуется для конкретного платежа, или немного больше (особенно в случае с расчётами в валюте, отличной от валюты карты).

Кроме того, многие банки сейчас предлагают специальные «виртуальные » карты (по сути - набор цифр), которые можно использовать один или несколько раз, а на следующий платёж выпустить новую карту. Это хороший и достаточно безопасный вариант, но у него есть некоторые недостатки, о которых скажем ниже в пункте о регулярных платежах.

3. Если вы используете для интернет-платежей обычную дебетовую карту (не одноразовую), то имеет смысл подключить к ней сервис информирования о платежах . Банки сейчас обязаны информировать клиента обо всех платежах, но в данном случае это особенно актуально, поэтому лучше убедиться, что это информирование работает, а вы получаете сообщение о платеже самым быстрым и удобным для вас образом. Хотя, если вы выполняете два первых правила, это не так важно - украсть с вашей карты всё равно будет нечего.

4. Постарайтесь при интернет-платежах не отдавать продавцу слишком много личных данных . Стандартный набор - это имя владельца карты, номер карты, срок её действия и cvv/cvc-код. Часто бывает нужен адрес владельца карты, но качество его проверки вызывает большие вопросы, поэтому писать ли реальный адрес - дело ваше. Всё остальное - либо самодеятельность продавца, который хочет вытянуть из вас максимум личной информации, либо какие-то страновые заморочки. Почему-то особенно отличаются любопытством французские магазины. Если есть возможность купить товар или услугу с меньшим объёмом передаваемых данных, то лучше воспользоваться ею. Этот момент не сказывается непосредственно на безопасности транзакции, но слишком большое количество персональных данных, которые могут попасть в руки злоумышленников, позже может помочь им при воздействии на вас методами социальной инженерии, например, при взломе почты, эккаунтов в социальных сетях и т.д.

5. По возможности при платежах используйте доверенные сервисы , а не сами данные карты. Например, Яндекс.Деньги и Paypal позволяют проводить платёж картой, не предоставляя продавцу каких-либо данных о ней. Вы всегда можете при необходимости «отвязать» карту от сервиса, сделав её недоступной для неприятных действий.

6. При совершении платежа старайтесь максимально точно понять, за что именно вы платите. Дело в том, что многие продавцы услуг (доступ на сайт, подписка на интернет-издание, платёж за игру и т.п.) берут не разовый платёж, а подписывают вашу карту на регулярные выплаты , например, ежемесячные. В целом, ничего страшного в этом нет, такая форма платежа может быть удобной и выгодной. Но вы сами должны решить, хотите ли вы, чтобы платежи с карты снимались регулярно. Для таких случаев, кстати, надо иметь постоянную обычную карту для интернет-платежей, а не одноразовую или краткосрочную виртуальную.

Чтобы исключить снятие с вашей карты денег за услуги, которыми вы не пользуетесь, регулярно проверяйте выписки по интернет-карте, обращая внимание на все мелкие платежи. Если заметите «утечку» средств, зайдите на сайт соответствующего продавца и удалите с него данные своей карты.

7. Если продавец не прислал товар или не оказал услугу с надлежащим качеством, спокойно платежа по схеме, которую я описывал ранее. У вас есть такое право.

8. Если несмотря на все ваши старания карта оказалась скомпрометированной (это может произойти и не по вашей вине, утечки данных из интернет-магазинов случаются регулярно), перевыпустите карту . Если вы следовали перечисленным выше правилам, то даже в самом плохом случае вы ничего или почти ничего не потеряете.

Наконец, основное правило, которое должно стоять на первом месте, но я специально вынес его в конец текста, так как последние слова лучше запоминаются.

0. Не уверен - не плати . Подозрительные сайты, небезопасное соединение (http:// в адресе сайта вместо https://), слишком выгодные условия покупки, стремление продавца не дать вам времени на обдумывание сделки и пр. - верные признаки возможных проблем. Если есть сомнения в безопасности платежа, лучше его не проводить, это сэкономит вам деньги и нервы.

PS Если у вас есть вопросы по личным финансам, инвестициям и банковской деятельности, задавайте в комментариях. Я постараюсь на них ответить максимально подробно и понятно.